Recopilar registros de Microsoft Sentinel

Información general

Este analizador extrae campos de los registros JSON de Microsoft Sentinel, realiza transformaciones como la extracción de direcciones IP y la manipulación de cadenas, y asigna los datos extraídos al UDM, incluidos los campos principal, target, security_result y metadata. También gestiona varios tipos de datos y combina las entidades extraídas en la estructura de UDM.

Antes de empezar

Asegúrate de que cumples los siguientes requisitos previos:

• Instancia de Google SecOps.
• Acceso a Microsoft Sentinel.

Configurar feeds desde Configuración de SIEM > Feeds

Para configurar un feed, sigue estos pasos:

1. Ve a Configuración de SIEM > Feeds.
2. Haz clic en Añadir feed.
3. En la página siguiente, haga clic en Configurar un solo feed.
4. En el campo Nombre del feed, introduce un nombre para el feed; por ejemplo, Registros de Microsoft Sentinel.
5. Selecciona Webhook como Tipo de fuente.
6. Seleccione Microsoft Sentinel como Tipo de registro.
7. Haz clic en Siguiente.
8. Opcional: Especifica los valores de los siguientes parámetros de entrada:
   • Delimitador de división: el delimitador que se usa para separar las líneas de registro, como \n.
9. Haz clic en Siguiente.
10. Revise la configuración de la nueva fuente en la pantalla Finalizar y, a continuación, haga clic en Enviar.
11. Haz clic en Generar clave secreta para generar una clave secreta que autentique este feed.
12. Copia y guarda la clave secreta, ya que no podrás volver a verla. Puedes volver a generar una clave secreta, pero si lo haces, la clave secreta anterior quedará obsoleta.
13. En la pestaña Detalles, copia la URL del endpoint del feed del campo Información del endpoint. Debe especificar esta URL de endpoint en su aplicación cliente.
14. Haz clic en Listo.

Crear una clave de API para la feed de webhook

1. Ve a la consolaGoogle Cloud > Credenciales.

   Ir a Credenciales

2. Haz clic en Crear credenciales y, a continuación, selecciona Clave de API.

3. Restringe el acceso de la clave de API a la API Chronicle.

Especificar la URL del endpoint

1. En tu aplicación cliente, especifica la URL del endpoint HTTPS proporcionada en el feed de webhook.

2. Para habilitar la autenticación, especifica la clave de API y la clave secreta como parte del encabezado personalizado con el siguiente formato:

   X-goog-api-key = API_KEY
   X-Webhook-Access-Key = SECRET
   

   Recomendación: Especifica la clave de API como encabezado en lugar de hacerlo en la URL. Si tu cliente de webhook no admite encabezados personalizados, puedes especificar la clave de API y la clave secreta mediante parámetros de consulta con el siguiente formato:

   ENDPOINT_URL?key=API_KEY&secret=SECRET
   

Haz los cambios siguientes:

• ENDPOINT_URL: URL del endpoint del feed.
• API_KEY: la clave de API para autenticarte en Google Security Operations.
• SECRET: la clave secreta que has generado para autenticar el feed.

Configurar una aplicación lógica para incidentes de Microsoft Sentinel

Para configurar Aplicación lógica para incidentes de Microsoft Sentinel, sigue estos pasos:

1. Inicia sesión en Azure Portal.
2. Haz clic en Crear un recurso.
3. Busca Logic App.
4. Haz clic en Crear para iniciar el proceso de creación.
5. Especifique valores para los siguientes parámetros de entrada:
   • Suscripción: selecciona la suscripción.
   • Grupo de recursos: seleccione el grupo de recursos.
   • Nombre: introduce un nombre para la aplicación lógica.
   • Región: selecciona la región.
   • Espacio de trabajo de Log Analytics: seleccione el espacio de trabajo de Log Analytics.
6. Haz clic en Revisar y crear.
7. Haz clic en Crear.
8. Una vez creada la aplicación lógica, haz clic en Ir al recurso.
9. Haz clic en Herramientas de desarrollo > Diseñador de aplicaciones lógicas.
10. Haz clic en Añadir un activador.
11. Busca Microsoft Sentinel.
12. Selecciona Incidente de Microsoft Sentinel como activador.
13. Si aún no has creado una conexión con Microsoft Sentinel, tendrás que hacerlo ahora. Haz clic en Crear nuevo y sigue las instrucciones para autenticarte.
14. Haz clic en Insertar un paso nuevo.
15. Haz clic en Añadir una acción.
16. Busca y selecciona HTTP como acción.
17. Especifique valores para los siguientes parámetros de entrada:
    • URI: la URL del endpoint del feed.
    • Método: POST
    • Encabezados: añade los siguientes encabezados:
      • Content-Type: application/json
      • X-goog-api-key: la clave de API para autenticarte en Google Security Operations.
      • X-Webhook-Access-Key: la clave secreta que has generado para autenticar el feed.

Configurar una aplicación lógica para las alertas de Microsoft Sentinel

Para configurar Logic App for Microsoft Sentinel Alerts, siga estos pasos:

1. Ve a la página principal de Azure Portal.
2. Haz clic en Crear un recurso.
3. Busca Logic App.
4. Haz clic en Crear para iniciar el proceso de creación.
5. Especifique valores para los siguientes parámetros de entrada:
   • Suscripción: selecciona la suscripción.
   • Grupo de recursos: seleccione el grupo de recursos.
   • Nombre: introduce un nombre para la aplicación lógica.
   • Región: selecciona la región.
   • Espacio de trabajo de Log Analytics: seleccione el espacio de trabajo de Log Analytics.
6. Haz clic en Revisar y crear.
7. Haz clic en Crear.
8. Una vez creada la aplicación lógica, haz clic en Ir al recurso.
9. Haz clic en Herramientas de desarrollo > Diseñador de aplicaciones lógicas.
10. Haz clic en Añadir un activador.
11. Busca Microsoft Sentinel.
12. Seleccione Alerta de Microsoft Sentinel como activador.
13. Si aún no has creado una conexión con Microsoft Sentinel, tendrás que hacerlo ahora. Haz clic en Crear nuevo y sigue las instrucciones para autenticarte.
14. Haz clic en Insertar un paso nuevo.
15. Haz clic en Añadir una acción.
16. Busca y selecciona HTTP como acción.
17. Especifique valores para los siguientes parámetros de entrada:
    • URI: la URL del endpoint del feed.
    • Método: POST
    • Encabezados: añade los siguientes encabezados:
      • Content-Type: application/json
      • X-goog-api-key: la clave de API para autenticarte en Google Security Operations.
      • X-Webhook-Access-Key: la clave secreta que has generado para autenticar el feed.

Configurar reglas de automatización en Microsoft Sentinel

Para configurar reglas de automatización en Microsoft Sentinel, sigue estos pasos:

1. Ve a tu espacio de trabajo de Microsoft Sentinel.
2. Haga clic en Configuración > Automatización.
3. Haz clic en Crear.
4. Selecciona Regla de automatización.
5. Especifique valores para los siguientes parámetros de entrada:
   • Nombre: introduce un nombre para la regla de automatización.
   • Activador: selecciona Cuando se crea un incidente.
   • Acciones: selecciona Ejecutar guía > Aplicación lógica creada para incidencias.
6. Haz clic en Aplicar.
7. Haz clic en Crear.
8. Selecciona Regla de automatización.
9. Especifique valores para los siguientes parámetros de entrada:
   • Nombre: introduce un nombre para la regla de automatización.
   • Activador: selecciona Cuando se actualice el incidente.
   • Condición: haz clic en Añadir > Condición (Y) > Estado > Cambiado.
   • Acciones: selecciona Ejecutar guía > Aplicación lógica creada para incidencias.
10. Haz clic en Aplicar.
11. Haz clic en Crear.
12. Selecciona Regla de automatización.
13. Especifique valores para los siguientes parámetros de entrada:
    • Nombre: introduce un nombre para la regla de automatización.
    • Activador: selecciona Cuando se cree la alerta.
    • Acciones: selecciona Ejecutar guía > Aplicación lógica creada para alertas.
14. Haz clic en Aplicar.

Tabla de asignación de UDM

¿Necesitas más ayuda? Recibe respuestas de los miembros de la comunidad y de los profesionales de Google SecOps.